Wo französische Banken bei DMARC stehen

Von Thomas · virtueller CISO · 22. August 2026

Kein Sektor zieht Fälscher so stark an wie das Bankwesen. Eine E-Mail, die von einer Bank zu kommen scheint, öffnet Türen wie kein anderer Absender: den Klick auf die „Sicherheitswarnung", die Freigabe des „neuen Zahlungsempfängers", den Rückruf bei einem „Berater", den es gar nicht gibt. In Frankreich beginnt der Betrug mit dem falschen Bankberater — eine Plage der letzten Jahre — sehr oft mit einer vorbereitenden Nachricht in den Farben des Instituts, und genau die angezeigte Absenderadresse ist das, was DMARC authentifizieren kann. Der Domainname einer Bank ist ein Vertrauenskapital; genau dieses Vertrauen ist es, das Phishing entwendet.

„Wo stehen die französischen Banken bei DMARC" ist deshalb keine Ingenieursneugier, sondern ein Indikator dafür, wie sicher der E-Mail-Kanal für zig Millionen Kunden wirklich ist. Und diese Frage verlangt eine Messung, keine Eindrücke. „Der Sektor ist voraus" und „der Sektor hinkt hinterher" kursieren nebeneinander, manchmal am selben Tag, ohne dass eine der beiden Behauptungen auf einer tatsächlichen Erhebung beruht. Die gute Nachricht: Die Antwort ist öffentlich überprüfbar. Eine DMARC-Policy steht im öffentlichen DNS, für alle sichtbar; es genügt, sie abzulesen, Institut für Institut, Monat für Monat.

Genau das leistet das Sektor-Barometer von dmarc.com. Dieser Artikel schreibt nicht „die Zahlen des Monats" ab — in einem Beitrag eingefroren, wären sie schon im nächsten Quartal veraltet. Er liefert stattdessen das Leseraster: was gemessen wird und wie, was die Status wirklich bedeuten, welche strukturellen Muster ein solches Korpus immer wieder zeigt, was die Regulierung ändert — und verweist für die aktuelle Messung auf die monatliche Ausgabe.

Warum das Bankwesen der Testsektor von DMARC ist

Das Bankwesen vereint drei Eigenschaften, die es zum idealen Beobachtungsfeld für den DMARC-Rollout machen.

Erstens die Exposition. Phishing-Analysen setzen die Finanzbranche Jahr für Jahr an die Spitze der meistimitierten Sektoren, über alle Geografien hinweg. Kein Wunder: Die Fälschung einer Bank ist unmittelbar monetarisierbar — eine umgeleitete Überweisung, Online-Banking-Zugangsdaten, eine Karte, die angeblich „dringend reaktiviert" werden muss. Wo die Fälschung eines Händlers ein Treuekonto stiehlt, leert die Fälschung einer Bank ein Girokonto. Der offensive Druck auf Bankdomains ist deshalb maximal, und zwar dauerhaft.

Zweitens die Zustellbarkeit. Eine Bank versendet kritische Post: Kontoauszüge, Sicherheitswarnungen, regulatorische Mitteilungen, Transaktionsbestätigungen. Eine legitime Nachricht im Spam-Ordner ist kein Marketing-Ärgernis, sondern ein Servicevorfall. Seit 2024 verlangen Gmail und Yahoo eine DMARC-Authentifizierung von Massenversendern, Microsoft zog 2025 nach: Für einen Bankversender ist Authentifizierung keine technische Option mehr, sondern eine Zustellbedingung.

Drittens die Mittel. Der Sektor verfügt über gut besetzte Sicherheitsteams, Compliance-Budgets und eine aufmerksame Aufsicht. Wenn ein Sektor p=reject über seinen gesamten Bestand erreichen kann, dann dieser. Seine tatsächliche Position misst deshalb die Obergrenze dessen, was andere Sektoren anpeilen können: Das Bankwesen ist der Großversuch von DMARC. Die sektorspezifischen Fragen — kritische Flüsse, Versanddienstleister, die Ausrichtung der Töchter — werden in Dossier zum Bankensektor vertieft.

Was das Observatorium misst, und wie

Das DMARC-Observatorium von dmarc.com verfolgt ein Korpus französischer Bankdomains — die Hauptdomains der Institute, jene, die die Kunden kennen und die Betrüger imitieren — und liest sie aus dem öffentlichen DNS ab. Die Methode hat nichts Invasives: Gemessen wird, was jeder Resolver sieht. Der TXT-Eintrag auf _dmarc.beispiel.de, die dort deklarierte p=-Policy, das Schicksal der Subdomains, der SPF-Eintrag und seine Strenge, die öffentlichen Spuren von DKIM und BIMI. Das ist eine bemerkenswerte Eigenschaft von DMARC: Die Haltung einer Domain ist eine öffentliche Erklärung, überprüfbar durch jeden — Kunden, Journalisten, Aufseher und Angreifer.

Jede erhobene Domain wird nach ihrer effektiven Policy eingeordnet: reject (die Fälschung wird abgewiesen), quarantine (sie landet im Spam), none (Beobachtung ohne Blockade), Eintrag fehlend oder ungültig — ein einziger Syntaxfehler genügt, um einer Policy jede Wirkung zu nehmen. Die Erhebung wird jeden Monat wiederholt, was zwei Dinge liefert, die eine Einzelaufnahme nie liefert: eine datierte, namentliche Rangliste und eine Trajektorie — wer vorankommt, wer stagniert, wer zurückfällt.

Aus diesem Rhythmus folgt ein festes Prinzip: Dieser Artikel zitiert keinen einzigen Prozentsatz. Eine hier gedruckte Zahl wäre sechs Monate später falsch und würde trotzdem weitergelesen. Die Statusverteilung, die Rangliste Institut für Institut und die monatliche Entwicklung leben in der monatlichen Ausgabe des Barometers, die bei jeder Erhebung aktualisiert wird. Ein Artikel hat ein Datum; ein Barometer hat einen Takt — maßgeblich ist die laufende Ausgabe.

Die Lesart, die zählt: die effektive Policy, nicht die Präsenz

Die klassische Falle besteht darin, „dieses Institut hat DMARC" als „dieses Institut ist geschützt" zu lesen. Ein Eintrag mit p=none:

v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de

blockiert gar nichts. Es ist ein Abhörmodus: Die Domain erhält Berichte darüber, wer in ihrem Namen versendet — unverzichtbar für den Start, wertlos als Verteidigung. Eine Bankdomain mit p=none lässt sich exakt so fälschen, als hätte sie gar kein DMARC; der einzige Unterschied ist, dass die Angriffe in ihren Berichten auftauchen. Für eine Bank kommt jahrelanges Verharren in diesem Zustand dem Aufhängen einer Kamera über einer weit offen gelassenen Tür gleich.

Die nützliche Hierarchie lautet also: fehlend < ungültig < none < quarantine < reject. Nur die beiden letzten Stufen wirken auf gefälschte Post, und nur die letzte schließt die Tür. Deshalb unterscheidet das Barometer die bloße Präsenz eines Eintrags von der durchgesetzten Policy: Die beiden Kurven erzählen sehr verschiedene Geschichten, und nur die zweite interessiert einen Betrüger.

Der aktuelle Standard, DMARCbis (RFC 9989 bis 9991), schärft diese Lesart weiter. Das pct-Tag ist verschwunden — ein schrittweiser Hochlauf wird jetzt über den Testmodus t=y ausgedrückt, deutlich lesbarer; die Policy-Ermittlung folgt dem DNS Tree Walk statt einer Liste öffentlicher Suffixe; und das Tag np= deckt nicht existierende Subdomains ab, ein Lieblingsziel „technischer" Fälschungen. Der Kopf v=DMARC1 bleibt rückwärtskompatibel. Eine ausgereifte Policy für eine Bankdomain sieht so aus:

v=DMARC1; p=reject; rua=mailto:dmarc@beispiel.de; sp=reject; np=reject

Der Weg zwischen beiden Einträgen — Quelleninventar, SPF- und DKIM-Ausrichtung, stufenweises Verschärfen — ist ein Projekt von einigen Monaten, kartiert in p=reject erreichen, ohne die E-Mails zu zerstören.

Die wiederkehrenden Muster in einem solchen Korpus

Ohne die Zahlen des Monats abzuschreiben: Vier strukturelle Muster kehren in Sektor-Barometern immer wieder, und das französische Bankenkorpus bildet keine Ausnahme.

Konzerne vor ihren Marken. Die Hauptdomain eines großen Konzerns ist in der Regel am besten gepflegt: Auf ihr liegt der Blick des Sicherheitsteams, auf sie schauen die Audits. Die Zweitmarken folgen mit Verzögerung — die Konsumkredit-Tochter, die aus einer Übernahme geerbte Online-Bank, das Regionalnetz, die aus Traditionsgründen erhaltene Altmarke. Der Angreifer aber wählt die schwächste Tür: Eine reject-Policy auf der Vorzeigedomain schützt wenig, wenn die Schwestermarke bei none steht. Der Perimeter, der zählt, ist der des gesamten Konzerns, nicht der der Schaufensterdomain.

Der Abstand zwischen Spitze und Schlussfeld. Die Verteilung eines Sektors ist nie gleichförmig: eine Spitze, seit Jahren bei reject etabliert, ein Mittelfeld, das ruckweise vorankommt — meist nach einer externen Anforderung, selten aus eigenem Antrieb — und ein Schlussfeld, das noch gar nicht begonnen hat. Der Durchschnitt eines Sektors sagt wenig; die Form der Verteilung sagt alles, und genau diese Form macht die monatliche Ausgabe sichtbar.

Die schlafenden Domains. Bankkonzerne halten Dutzende defensiver Domains: frühere Marken, eingestellte Produkte, vorsorglich registrierte Tippfehler-Varianten. Diese Domains versenden nie und werden fast nie überwacht — ein perfekter Kandidat für Fälschung, denn niemand liest ihre Berichte. Dabei lässt sich eine Domain, die nichts versendet, mit zwei Einträgen verriegeln: einem SPF v=spf1 -all und einem DMARC p=reject. Es ist die billigste Baustelle des Sektors, und die am häufigsten vergessene.

BIMI als Zielmarke. Die Anzeige des Markenlogos im Posteingang setzt eine durchgesetzte Policy voraus und bei den großen Anbietern ein VMC-Zertifikat. Ein BIMI-Eintrag auf einer Bankdomain signalisiert also eine abgeschlossene Remediation — ein Reifemarker, den die monatliche Erhebung ebenfalls erfasst.

Diese Dynamiken sind nicht auf das französische Bankwesen beschränkt; zeitversetzt tauchen sie in den anderen verfolgten Sektoren wieder auf. Das Gesamtbild zeichnen die DMARC-Adoptionstrends 2026.

Was DORA und NIS2 ändern

Zwei externe Kräfte haben DMARC vom Schreibtisch des Messaging-Teams auf den der Risikoabteilung verschoben.

Die erste kam aus den Posteingängen: Die Anforderungen von Gmail, Yahoo und dann Microsoft machten die Authentifizierung zur Zustellbedingung, auch für völlig legitime Post. Ein Institut kann ein Fälschungsrisiko ignorieren; Kontoauszüge, die nicht mehr ankommen, kann es nicht ignorieren.

Die zweite ist regulatorisch. DORA, seit Januar 2025 auf die Finanzunternehmen der Union anwendbar, nennt DMARC nicht beim Namen — die Verordnung verlangt ein IKT-Risikomanagement, verhältnismäßige Schutzmaßnahmen und die Meldung schwerer Vorfälle. Die operative Übersetzung ist jedoch direkt: Eine erfolgreiche Fälschungskampagne gegen die Domain wird zu einem Vorfall, der einzustufen, zu dokumentieren und gegebenenfalls zu melden ist; eine trotz eindeutiger Berichte bei p=none belassene Domain wird zu einer Position, die sich im Audit schwer verteidigen lässt. Eine detaillierte Lektüre dessen, was die Verordnung für E-Mail bedeutet, bieten die E-Mail-Anforderungen von DORA. NIS2 dehnt dieselbe Bewegung auf das umgebende Ökosystem aus — Dienstleister, Betreiber, Fintechs —, während die Bank selbst zuerst unter DORA fällt, die lex specialis des Finanzsektors.

Die konkrete Folge zeigt sich in den Trajektorien: Das Thema hat den Eigentümer gewechselt. Solange DMARC als technische Hygiene galt, wartete es hinter den sichtbaren Projekten; seit es die Compliance berührt, hat es ein Budget, einen Kalender und einen Verantwortlichen. Genau diese Verschiebung macht ein monatliches Barometer beobachtbar — nicht „hat der Sektor DMARC", sondern „wie schnell verschärft sich die effektive Policy".

Eine Bankdomain einordnen

Drei Fragen genügen, um ein Institut einzuordnen, und der Ansatz gilt für jede Domain, ob Bank oder nicht.

Existiert der Eintrag, und ist er gültig? Eine DNS-Abfrage auf _dmarc.beispiel.de antwortet in einer Sekunde; fehlerhafte Syntax kommt einer Abwesenheit gleich. Wird die Policy durchgesetzt? p=reject oder p=quarantine schützen; p=none beobachtet; und die Behandlung der Subdomains (sp=, np=) verdient dieselbe Prüfung wie die Hauptdomain. Zieht der Konzernperimeter mit? Handelsmarken, Töchter, schlafende Domains: Der Schutz bemisst sich am Ganzen, denn der Angreifer macht an der Hauptdomain nicht halt.

Den Rest erledigt der Sektorvergleich. Die monatliche Ausgabe des Barometers ordnet jedes Institut in die Rangliste ein, Status für Status, und die Historie zeigt die Trajektorie — eine Domain bei quarantine, die sich mit jeder Erhebung verschärft, steht besser da als ein isoliertes reject, umgeben von Marken bei none. Momentaufnahme und Film zusammen ergeben die wirkliche Position.

Fazit

Das französische Bankwesen ist der Testsektor von DMARC: am stärksten gefälscht, am stärksten vom Vertrauen abhängig, am besten ausgestattet, es richtig zu machen, und am strengsten reguliert, wenn es das nicht tut. Seine Position wird im öffentlichen DNS gemessen — Präsenz, effektive Policy, Konzernperimeter, monatliche Entwicklung —, nicht in Eindrücken. Die nützliche Lesart ist nicht „DMARC haben", sondern „eine Policy durchsetzen": p=none hat noch nie eine einzige Fälschung blockiert. Die wiederkehrenden Muster — Konzerne vor ihren Marken, der Abstand zwischen Spitze und Schlussfeld, vergessene schlafende Domains — zeigen die wirklichen Baustellen, und DORA hat aus dem Technikdossier ein Compliance-Dossier gemacht. Die Zahlen des Monats leben derweil in der monatlichen Ausgabe des Observatoriums, aktualisiert Erhebung für Erhebung.

Der natürliche nächste Schritt besteht aus zwei Gesten. Ein Durchlauf der Domain — Bank oder nicht — durch den Online-Analyzer zeigt in Sekunden, wo sie auf genau der Skala steht, die auch das Barometer verwendet: Präsenz, Gültigkeit, effektive Policy, Subdomains. Und ein Konto eröffnet die kontinuierliche Überwachung samt aggregierter Berichte, um die Policy Richtung p=reject anzuheben — bevor die monatliche Rangliste es auf ihre Weise anmerkt.